基于IKE機制的VPN網關研究與實現(xiàn).pdf

1、IPSec作為虛擬專用網(VPN)的實現(xiàn)技術之一，具有其他VPN實現(xiàn)技術不具備的諸多優(yōu)點。IKE機制作為IPSec體系的重要組成部分，能夠動態(tài)協(xié)商和管理IPSec SA，從而極大地增強了IPSec VPN通訊隧道的安全性。目前國內研發(fā)的同類VPN網關大都沒有完全實現(xiàn)IKE機制，嚴重影響了VPN系統(tǒng)的安全性能。國外成熟產品由于安全原因不能大規(guī)模地應用于我國的重要部門，所以研制適合我國國情的IPSec VPN系統(tǒng)具有很好的現(xiàn)實意義。

2、 論文首先簡要介紹了IPSec VPN的基本原理，闡述了IKE機制和IPSec VPN之間的關系，同時分析了國內外同類研究的現(xiàn)狀，并且說明了課題的來源和意義。 然后提出IPSec VPN安全網關基本框架，用Netfilter提供的hook機制實現(xiàn)IPSec體系結構中的基本功能，如IPSec數據處理以及AH、ESP等。為解決安全關聯(lián)手工管理方式導致的一系列安全管理問題，引入IKE動態(tài)密鑰協(xié)商機制，并為此設計IKE實

3、現(xiàn)框架以及IKE動態(tài)協(xié)商模塊、IKE內核通訊模塊等功能模塊。 在詳細分析IKE動態(tài)協(xié)商的過程后，采用PF_KEY作為協(xié)商進程與內核的通訊接口實現(xiàn)IKE協(xié)商模塊。同時分析目前IKE機制的一些不足之處，提出相應的改進意見。 在分析、實現(xiàn)PF_KEY第二版本的基礎上，提出針對PF_ KEY的擴展和改進方案，通過增加新的消息類型和相應的擴展項，實現(xiàn)應用層IKE守護進程和內核中安全關聯(lián)數據庫、安全策略數據庫之間的交